|
№ п|п
|
Документ
|
Требование
|
Законодательство
|
Как составить
|
В каждой организации обязательно должны присутствовать ключевые документы
|
|
1
|
Порядок обработки персональных данных
Обработка персональных данных может быть оформлена не в виде отдельного документа, а в составе Положения о защите персональных данных.
|
Обрабатывающая организация обязана создать нормативные акты, детально описывающие все этапы взаимодействия с личными данными граждан.
|
Статья 18.1 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»
|
Стандартизированной формы данного документа не существует. Порядок его формирования и перечень необходимых разделов определены в рекомендациях Роскомнадзора, выпущенных 31 июля 2017 года
Политика должна охватывать шесть ключевых направлений:
цели сбора персональных данных;
правовые основания обработки персональных данных
объем и категории обрабатываемых данных, категории субъектов персональных данных;
порядок и условия обработки персональных данных;
актуализация, исправление, удаление и уничтожение данных, ответы на запросы субъектов на доступ к персональным данным.
Документ публикуется в открытом доступе на веб-сайте, предусматривающем наличие форм регистрации.
|
|
2
|
Уведомление об обработке персональных данных
|
Организации, осуществляющие обработку персональных данных (что характерно для большинства компаний), обязаны проинформировать Роскомнадзор о начале такой деятельности.
|
Статья 22 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»
|
Установленный образец документа был одобрен распоряжением Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 28 октября 2022 года № 180. Заявку можно передать одним из трех доступных методов: лично принести на носителе в региональное представительство ведомства; через электронную форму на официальном веб-портале Роскомнадзора; через Госуслуги.
Как подготовить и передать в Роскомнадзор уведомление о начале обработки персональных данных
В уведомлении Роскомнадзора об обработке персональных данных выявлены недочеты
|
|
3
|
Внесение корректировок в уведомление о порядке обработки персональных данных
|
Если данные, ранее предоставленные в Роскомнадзор, были изменены, то при завершении обработки персональных данных необходимо проинформировать Роскомнадзор в десятидневный срок.
|
Часть седьмая статьи 22 и статья 25 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»
|
|
|
4
|
Распоряжение о назначении сотрудника, отвечающего за организацию обработки персональной информации.
|
Юридическое лицо, выполняющее функции оператора персональных сведений, обязано определить должностное лице, ответственное за обеспечение процесса их обработки.
|
Часть двадцать вторая Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»
|
Унифицированной формы приказа не предусмотрено, поэтому документ может быть оформлен в свободной форме. В нем необходимо указать: основания для назначения (ссылка на статью 22-1 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных»); должность и фамилию, имя, отчество сотрудника, назначаемого ответственным за обработку персональных данных; величину надбавки к должностному окладу, выплачиваемой за выполнение дополнительной функции.
Законодательство не содержит конкретных требований к квалификации работника, выполняющего данную функцию. Это может быть специалист по управлению человеческими ресурсами, бухгалтерский сотрудник, офисный помощник и другие.
Работодатель обязан заключить с сотрудниками, чьи должностные инструкции предусматривают доступ к персональным данным коллег, соглашение о конфиденциальности. Альтернативным решением является включение соответствующего положения в дополнительное соглашение к трудовому договору.
|
|
5
|
Список работников, ответственных за обработку персональных данных и имеющих к ним доступ
|
Обработчик персональных данных обязан предпринимать требуемые юридические, организационные и технические действия для обеспечения сохранности персональной информации от несанкционированного или случайного использования, ликвидации, корректировки, воспроизведения, передачи третьим лицам и других противоправных действий.
|
Статья 19 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»
|
Унифицированной формы для такого документа не предусмотрено, его можно разработать в свободной форме. В документе необходимо указать: основания для назначения (ссылка на статью 22-1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»); фамилии, имена, отчества и должности сотрудников, имеющих доступ к персональным данным; при необходимости – конкретные типы персональных данных, к которым они имеют доступ, например, для работников определенного подразделения. Обычно доступ к данным предоставляется заместителям директора, руководителям отделов, сотрудникам бухгалтерии и секретариату.
С работниками, чья профессиональная деятельность предполагает возможность обращения к личной информации пользователей, необходимо заключить соглашение о конфиденциальности, если подобное условие не зафиксировано в трудовом контракте.
|
|
6
|
Согласие на обработку персональных данных дается субъектом лично
|
Решение о передаче персональных данных и согласие на их обработку предоставляются непосредственно владельцем. Предоставленное согласие на обработку персональных данных должно быть четким, основанным на полной информации и добровольным.
|
Статья 9 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»
|
Персональные данные обрабатываются исключительно при наличии письменного согласия, заверенного подписью владельца.
Согласие гражданина на обработку его персональных данных (образец 2025 года от Роскомнадзора)
|
В зависимости от специфики работы и внутренних регламентов компании, формируются дополнительные документы
|
|
7
|
В случаях, когда персональные данные получены не от самого субъекта, организации обязаны иметь документы, служащие подтверждением предоставления ему соответствующей информации
|
Если данные были получены не от самого субъекта, оператор должен предоставить ему соответствующую информацию:
наименование либо ФИО и адрес оператора или его представителя;
цель обработки персданных и правовое основание;
предполагаемые пользователи данных;
права субъекта персональных данных;
источник получения.
|
Часть третья статьи 18 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»
|
К таким документам могут относиться договоры, соглашения или иные бумаги, подтверждающие законность применения указанных данных.
|
|
8
|
Настоящая политика определяет порядок обработки персональных данных
|
Обрабатывающий субъект обязан создать регламенты, детально описывающие все этапы взаимодействия с конфиденциальными данными.
|
Статья 18_1 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»
|
Стандартизированной формы данного документа не существует. Инструкции по его созданию и перечень необходимых разделов определены в рекомендациях Роскомнадзора, выпущенных 31 июля 2017 года
В политике должно быть выделено шесть ключевых направлений:
цели сбора персональных данных;
правовые основания обработки персональных данных
объем и категории обрабатываемых данных, категории субъектов персональных данных;
порядок и условия обработки персональных данных;
актуализация, исправление, удаление и уничтожение данных, ответы на запросы субъектов на доступ к персональным данным.
Документ публикуется в открытом доступе на веб-сайте, содержащем формы регистрации.
Правила обработки личной информации могут быть представлены не как самостоятельный файл, а являться частью регламента по защите персональных данных.
|
|
9
|
Документы, содержащие информацию об административных и технических способах обеспечения безопасности персональных данных
|
Оператор персональных данных должен предпринимать законные, организационные и технические действия для обеспечения защиты персональных данных от несанкционированного или случайного доступа, уничтожения, изменения, копирования, передачи и иных противоправных воздействий.
|
Статья 19 Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»
|
В указанном документе требуется детальное описание конкретных мероприятий, направленных на защиту информации, включая административные и технические аспекты.
К организационным мерам относятся: обучение сотрудников, ограничение доступа, создание инструкций, определение статусов и обязанностей пользователей, ведение журналов доступа, регламент условий и места хранения носителей данных и прочее.
К техническим средствам защиты относятся: использование криптографических методов, удаление идентифицирующих признаков из данных, применение электронной подписи для подтверждения целостности информации, установка антивирусного программного обеспечения, настройка межсетевых экранов для контроля сетевого трафика, внедрение систем обнаружения и блокирования несанкционированного доступа (IPS/IDS), а также системы предотвращения утечек конфиденциальной информации (DLP) и другие аналогичные технологии.
|
|
10
|
Основания и порядок приема и обработки запросов от лиц, чьи данные являются персональными
|
Нормативный акт предписывает всем организациям, осуществляющим сбор и использование персональной информации, организовать прием запросов и заявлений от лиц, чьи данные обрабатываются, либо их законных представителей.
|
Часть двадцать вторая Федерального закона от 27 июля 2006 года № 152-ФЗ «О персональных данных»
|
Единого шаблона для такого документа не предусмотрено. Это могут быть регламенты или инструкции по обработке обращений лиц, чьи данные обрабатываются, либо их представителей. В этом документе необходимо указать информацию о том, какие сведения может запросить субъект персональных данных, сроки предоставления ответов на обращения и основания для отказа.
Образец Правила ответов на запросы
|
|
11
|
Необходимы документы, которые устанавливают виды персональных сведений, специфику и порядок их обработки без применения автоматизированных технологий, а также стандартные образцы документов
|
Сотрудники, занимающиеся обработкой персональных данных вручную, должны быть уведомлены о том, что они обрабатывают персональные данные, категории обрабатываемой информации и специфике такой обработки.
|
Данный документ регламентирует порядок обработки персональных данных, не предполагающий использования автоматизированных средств. Он был утвержден постановлением Правительства Российской Федерации от 15 сентября 2008 года № 687
|
|
|
12
|
Настоящий документ определяет правила ведения журналов (реестров, книг и т.п.), в которых фиксируются персональные данные, необходимые для однократного допуска на территорию
|
Для правильного ведения журналов необходимо следовать требованиям, закрепленным в Положении № 687
|
Инструкция, регламентирующая порядок работы с персональными данными без применения автоматизированных систем обработки информации. Одобрена распоряжением Правительства Российской Федерации от 15 сентября 2008 года № 687
|
Обязанность вести журнал (реестр, книгу) должна быть отражена в политике (положении) обработки персональных данных. В этом документе следует установить следующие условия:
когда, на каком основании, кем и какие сведения заносятся в журнал (реестр, книги);
копирование сведений из журналов (реестров, книг) не допускается;
информация о конкретном лице не должна регистрироваться более одного раза при каждом посещении охраняемой территории.
|
|
13
|
Настоящий документ определяет обязательные условия для хранения физических носителей, на которых находятся персональные данные
|
При хранении персональных данных на физических носителях необходимо гарантировать их сохранность и предотвратить несанкционированный доступ.
|
Данный документ регламентирует порядок обработки персональных данных, не предполагающий использования автоматизированных средств. Он был утвержден постановлением Правительства Российской Федерации от 15 сентября 2008 года № 687
|
Форма документа, содержащего перечень мер, направленных на обеспечение сохранности носителей, может быть любой. Вместо составления отдельного документа, положения о мерах безопасности можно интегрировать в Политику обработки персональных данных, оформив их как отдельный раздел или пункты.
|
|
14
|
Документ о классификации информационных систем
|
Государственные органы получают данный документ для подтверждения того, что их информационная система соответствует требованиям законодательства. Коммерческие организации также могут получить его на добровольных началах.
|
Процедура классификации информационных систем, содержащих персональные данные, установлена приказом ФСТЭК России, ФСБ России и Мининформсвязи России от 13 февраля 2008 года № 55/86/20
|
Составляется акт классификации информационных систем.
Образец акт
Для обеспечения надлежащей обработки персональных данных в информационной системе потребуется составить перечень лиц, которым будет предоставлен доступ к ним.
|
